Quell’app VPN è la build ufficiale o un’imitazione?

Il software imitatore copia nomi, icone e schermate, e si connette abbastanza bene da sembrare convincente. Che il tunnel funzioni non è prova di nulla, perché la domanda è chi ha scritto il binario. Trattatelo come un controllo d’identità e non come un audit di sicurezza, e prendete ogni valore di riferimento da un canale che avete scelto voi, non dalla pagina dell’app stessa. Seguono cinque controlli, e ciascuno può fallire mentre gli altri passano. Fateli in ordine, perché un controllo successivo non può salvare uno precedente.

Prendete i valori di riferimento da un canale che avete scelto

Aprite le istruzioni di download ufficiali del progetto, o il canale software gestito della vostra organizzazione, prima di guardare che cosa è installato. Annotate l’editore atteso sullo store, l’identità del pacchetto o dell’installer e le piattaforme supportate, poi conservate quella nota dove la ritroverete al prossimo aggiornamento. Un risultato di ricerca o un posizionamento sponsorizzato non è quel canale, e il posizionamento a pagamento sta sopra il risultato organico proprio perché le persone cliccano il primo riscontro. Mettete la pagina tra i preferiti una volta verificata, così il prossimo download parte da una decisione e non da una ricerca ripetuta.

Anche uno specchio o un repository di pacchetti di terze parti è un canale, ed è affidabile solo quanto il suo operatore. Annotate quale avete usato, perché è proprio quel dettaglio che le persone dimenticano tra un aggiornamento e l’altro.

Confrontate l’editore installato, non il nome

Appoggiatevi ai registri di firme e applicazioni della piattaforma, dove esistono, poi leggete la versione, il percorso di aggiornamento e i permessi richiesti dall’app. Notare una firma valida non è lo stesso che notare l’editore che vi aspettavate, perché un certificato attesta solo che un binario è stato firmato da chi lo possiede. Una firma di un’azienda di cui non avete mai sentito parlare resta una firma valida, ed è per questo che il test deve nominare la parte che intendevate. Un installer che porta con sé software aggiuntivo, chiede un certificato o apre una richiesta di account che non vi aspettavate, ha bisogno di una spiegazione dalla documentazione del prodotto stesso.

# Windows: inspect the installed signature
Get-AuthenticodeSignature "C:\Program Files\WireGuard\wireguard.exe"
# macOS: check the bundle identity
codesign -dv --verbose=2 /Applications/WireGuard.app
# Linux: confirm the package origin
apt-cache policy wireguard

Eseguite il controllo adatto alla piattaforma e confrontate l’output con la nota di riferimento creata al primo passo. Una discrepanza nel campo dell’editore è più informativa di qualsiasi somiglianza visiva, perché un’icona non costa nulla da copiare. Se l’output nomina un’organizzazione che non compare da nessuna parte nella documentazione del progetto, fermatevi lì e non accedete.

Che cosa dimostra davvero la firma installata

Quando un progetto pubblica checksum, firme o chiavi di rilascio, seguite tutta la procedura che documenta, compresa la parte su come ottenere la chiave di riferimento. Un checksum stampato sulla stessa pagina del download dimostra solo che il file corrisponde a quella pagina, il che è un’affermazione più debole di quanto sembri. La domanda utile è se la firma risalga all’identità documentata dal progetto, attraverso un percorso che l’imitazione non controlla. È il passo che le persone abbreviano in «il file ha una firma, sì o no».

Una chiave recuperata da un keyserver e un’impronta stampata in un README non sono prove equivalenti. Decidete quale avete realmente usato prima di definire il file verificato.

Quando l’app è autentica ma il profilo no

Un client e un profilo server provengono da due emittenti diversi, e confonderli è un errore distinto dall’installare il binario sbagliato. Una build di OpenVPN mantenuta da un progetto caricherà volentieri una configurazione scritta da un operatore non correlato, e questo è un comportamento normale e non una prova di compromissione. Vale anche il contrario: un profilo legittimo non rende affidabile un client non ufficiale. Verificate ogni oggetto rispetto alla sua fonte, e non lasciate mai che una connessione funzionante fonda due controlli in uno.

Chiedetevi quale dei due oggetti sia realmente in dubbio prima di agire, perché il rimedio è diverso. Un client difettoso significa reinstallare, mentre un profilo difettoso significa cancellare un file e riemetterlo.

Agite nell’incertezza, poi ripulite come si deve

Se l’identità resta incerta, smettete di fornire credenziali e procuratevi il software in modo indipendente attraverso il canale verificato che avete salvato tra i preferiti. Seguite le indicazioni della piattaforma sulle applicazioni indesiderate invece di cancellare una cartella e sperare. Poi annotate l’editore, la versione e il metodo di verifica che avete accettato, così il prossimo aggiornamento potrà essere confrontato con un fatto e non con la memoria.

Dopo una sostituzione legittima, passate in rassegna i vecchi profili e le autorizzazioni concesse sia nel client sia nel sistema operativo. Disinstallare il file scaricato lascia l’applicazione installata al suo posto, e un vecchio profilo può sopravvivere al client che l’ha creato continuando a puntare a un endpoint che nessuno mantiene. La pagina di installazione ufficiale di WireGuard è un buon esempio del tipo di riferimento che vale la pena conservare: è la lista dello sviluppatore stesso e non uno specchio.